개인정보 유출 사고

72시간은 유출을 알게 된 때부터 셉니다. 보안 담당자가 이상 징후를 처음 본 시각, 경영진에 보고된 시각, 차단 조치를 한 시각을 분 단위로 적어 두세요. 나중에 통지가 늦었다는 지적을 받을 때 이 기록이 회사를 지켜 줍니다.

유출 항목이나 경위를 아직 다 확인하지 못했더라도 그때까지 확인된 내용으로 먼저 통지·신고하고, 추가로 확인되는 내용은 바로 덧붙여야 합니다. 접속 차단이나 취약점 보완처럼 긴급한 조치가 필요하면 그 사유가 해소된 뒤 즉시 통지할 수 있습니다.

개정법은 유출이 확정되지 않았더라도 대통령령으로 정한 유출 가능성이 있음을 알게 되면 해당 정보주체 모두에게 알리도록 했습니다(제34조 제2항). 불법 접근 흔적이 있는데 실제 반출 여부를 조사 중인 경우가 대표적입니다.

과징금 상한도 반복·대규모 위반에는 전체 매출액의 100분의 10까지 올라갔습니다. 반대로 보호 투자와 자율적인 보호 활동은 감경 사유로 반영되므로, 평소 접근통제·암호화·접속기록 보관을 해 온 자료를 정리해 두면 조사에서 쓸 수 있습니다.

퇴사자나 직원이 고객 DB를 빼돌린 경우에도 회사는 관리 책임을 따로 집니다. 그와 별도로 그 직원에 대해 개인정보 보호법 위반, 영업비밀 침해, 업무상배임 고소를 검토하고, 자료 회수와 사용 금지를 요구합니다.

위탁업체에서 사고가 났더라도 위탁한 회사가 관리·감독과 교육을 소홀히 했다면 과징금 대상이 될 수 있습니다(제64조의2 제1항 제5호). 위탁계약서와 점검 기록을 함께 확인합니다.